Menyiapkan Load Balancer Aplikasi internal regional dengan backend grup instance VM

Konsol

1. Di Trusted Cloud konsol, buka halaman VPC networks.

   Buka jaringan VPC

2. Klik Create VPC network.

3. Untuk Name, masukkan lb-network.

4. Di bagian Subnets, setel Subnet creation mode ke Custom.

5. Buat subnet untuk backend load balancer. Di bagian New subnet, masukkan informasi berikut:

   • Nama: backend-subnet
   • Region: us-west1
   • Rentang alamat IP: 10.1.2.0/24

6. Klik Selesai.

7. Klik Tambahkan subnet.

8. Buat subnet untuk mendemonstrasikan akses global. Di bagian New subnet, masukkan informasi berikut:

   • Nama: europe-subnet
   • Region: europe-west1
   • Rentang alamat IP: 10.3.4.0/24

9. Klik Selesai.

10. Klik Create.

gcloud

1. Buat jaringan VPC kustom dengan perintah gcloud compute networks create:

   gcloud compute networks create lb-network --subnet-mode=custom
   

2. Buat subnet di jaringan lb-network di region us-west1 dengan perintah gcloud compute networks subnets create:

   gcloud compute networks subnets create backend-subnet \
       --network=lb-network \
       --range=10.1.2.0/24 \
       --region=us-west1
   

3. Buat subnet di jaringan lb-network di region europe-west1 dengan perintah gcloud compute networks subnets create:

   gcloud compute networks subnets create europe-subnet \
       --network=lb-network \
       --range=10.3.4.0/24 \
       --region=europe-west1
   

API

Buat permintaan POST ke metode networks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/networks

{
 "routingConfig": {
   "routingMode": "REGIONAL"
 },
 "name": "lb-network",
 "autoCreateSubnetworks": false
}

Buat permintaan POST ke metode subnetworks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/subnetworks

{
 "name": "backend-subnet",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "ipCidrRange": "10.1.2.0/24",
 "region": "projects/PROJECT_ID/regions/us-west1",
}

Buat permintaan POST ke metode subnetworks.insert. Ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/europe-west1/subnetworks

{
 "name": "europe-subnet",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "ipCidrRange": "10.3.4.0/24",
 "region": "projects/PROJECT_ID/regions/europe-west1",
}

Konsol

Jika menggunakan konsol Trusted Cloud , Anda dapat menunggu dan membuat subnet khusus proxy nanti di halaman Load balancing.

Jika Anda ingin membuat subnet khusus proxy sekarang, ikuti langkah-langkah berikut:

1. Di Trusted Cloud konsol, buka halaman VPC networks.

   Buka jaringan VPC

2. Klik nama jaringan VPC: lb-network.

3. Klik Tambahkan subnet.

4. Untuk Name, masukkan proxy-only-subnet.

5. Untuk Region, pilih us-west1.

6. Tetapkan Purpose ke Regional Managed Proxy.

7. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.

8. Klik Tambahkan.

gcloud

Buat subnet khusus proxy dengan perintah gcloud compute networks subnets create.

gcloud compute networks subnets create proxy-only-subnet \
    --purpose=REGIONAL_MANAGED_PROXY \
    --role=ACTIVE \
    --region=us-west1 \
    --network=lb-network \
    --range=10.129.0.0/23

API

Buat subnet khusus proxy dengan metode subnetworks.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/projects/PROJECT_ID/regions/us-west1/subnetworks

{
  "name": "proxy-only-subnet",
  "ipCidrRange": "10.129.0.0/23",
  "network": "projects/PROJECT_ID/global/networks/lb-network",
  "region": "projects/PROJECT_ID/regions/us-west1",
  "purpose": "REGIONAL_MANAGED_PROXY",
  "role": "ACTIVE"
}

Konsol

1. Di konsol Trusted Cloud , buka halaman Firewall policies.

   Buka Kebijakan firewall

2. Klik Create firewall rule untuk membuat aturan yang mengizinkan koneksi SSH yang masuk:

   • Nama: fw-allow-ssh
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Tindakan terhadap kecocokan: Izinkan
   • Targets: Tag target yang ditentukan
   • Tag target: allow-ssh
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 0.0.0.0/0
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Pilih kotak centang TCP, lalu masukkan 22 untuk nomor port.

3. Klik Buat.

4. Klik Create firewall rule untuk kedua kalinya guna membuat aturan yang mengizinkan Trusted Cloud health check:

   • Nama: fw-allow-health-check
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Tindakan terhadap kecocokan: Izinkan
   • Targets: Tag target yang ditentukan
   • Tag target: load-balanced-backend
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 130.211.0.0/22 dan 35.191.0.0/16
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.
       Sebagai praktik terbaik, batasi aturan ini hanya pada protokol dan port yang cocok dengan yang digunakan oleh health check Anda. Jika Anda menggunakan tcp:80 untuk protokol dan port, Trusted Cloud dapat menggunakan HTTP di port 80 untuk menghubungi VM Anda, tetapi tidak dapat menggunakan HTTPS di port 443 untuk menghubungi VM.

5. Klik Buat.

6. Klik Create firewall rule untuk ketiga kalinya guna membuat aturan yang mengizinkan server proxy load balancer terhubung ke backend:

   • Nama: fw-allow-proxies
   • Jaringan: lb-network
   • Direction of traffic: Ingress
   • Tindakan terhadap kecocokan: Izinkan
   • Targets: Tag target yang ditentukan
   • Tag target: load-balanced-backend
   • Filter sumber: Rentang IPv4
   • Rentang IPv4 sumber: 10.129.0.0/23
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Centang kotak TCP, lalu masukkan 80, 443, 8080 untuk nomor port.

7. Klik Buat.

gcloud

1. Buat aturan firewall fw-allow-ssh untuk mengizinkan konektivitas SSH ke VM dengan tag jaringan allow-ssh. Jika Anda menghapus source-ranges, Trusted Cloud akan menafsirkan aturan sebagai sumber apa pun.

   gcloud compute firewall-rules create fw-allow-ssh \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --target-tags=allow-ssh \
       --rules=tcp:22
   

2. Buat aturan fw-allow-health-check untuk mengizinkan health check Trusted Cloud. Contoh ini mengizinkan semua traffic TCP dari penguji health check; namun, Anda juga dapat mengonfigurasi kumpulan port yang lebih sempit untuk memenuhi kebutuhan Anda.

   gcloud compute firewall-rules create fw-allow-health-check \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=130.211.0.0/22,35.191.0.0/16 \
       --target-tags=load-balanced-backend \
       --rules=tcp
   

3. Buat aturan fw-allow-proxies untuk mengizinkan proxy Load Balancer Aplikasi internal terhubung ke backend Anda. Tetapkan source-ranges ke rentang yang dialokasikan dari subnet khusus proxy Anda—misalnya, 10.129.0.0/23.

   gcloud compute firewall-rules create fw-allow-proxies \
       --network=lb-network \
       --action=allow \
       --direction=ingress \
       --source-ranges=source-range \
       --target-tags=load-balanced-backend \
       --rules=tcp:80,tcp:443,tcp:8080
   

API

Buat aturan firewall fw-allow-ssh dengan membuat permintaan POST ke metode firewalls.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-ssh",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "0.0.0.0/0"
 ],
 "targetTags": [
   "allow-ssh"
 ],
 "allowed": [
  {
    "IPProtocol": "tcp",
    "ports": [
      "22"
    ]
  }
 ],
"direction": "INGRESS"
}

Buat aturan firewall fw-allow-health-check dengan membuat permintaan POST ke metode firewalls.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-health-check",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "130.211.0.0/22",
   "35.191.0.0/16"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp"
   }
 ],
 "direction": "INGRESS"
}

Buat aturan firewall fw-allow-proxies untuk mengizinkan traffic TCP dalam subnet proxy untuk metode firewalls.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/firewalls

{
 "name": "fw-allow-proxies",
 "network": "projects/PROJECT_ID/global/networks/lb-network",
 "sourceRanges": [
   "10.129.0.0/23"
 ],
 "targetTags": [
   "load-balanced-backend"
 ],
 "allowed": [
   {
     "IPProtocol": "tcp",
     "ports": [
       "80"
     ]
   },
 {
     "IPProtocol": "tcp",
     "ports": [
       "443"
     ]
   },
   {
     "IPProtocol": "tcp",
     "ports": [
       "8080"
     ]
   }
 ],
 "direction": "INGRESS"
}

Konsol

Anda dapat mencadangkan alamat IP internal mandiri menggunakan konsolTrusted Cloud .

1. Buka halaman VPC networks.

   Buka jaringan VPC

2. Klik jaringan yang digunakan untuk mengonfigurasi konektivitas hibrida antara lingkungan.
3. Klik Static internal IP addresses, lalu klik Reserve static address.
4. Untuk Name, masukkan l7-ilb-ip-address.
5. Untuk Subnet, pilih backend-subnet.
6. Jika Anda ingin menentukan alamat IP yang akan dicadangkan, di bagian Static IP address, pilih Let me choose, lalu isi Custom IP address. Jika tidak, sistem akan otomatis menetapkan alamat IP di subnet untuk Anda.
7. Jika Anda ingin menggunakan alamat IP ini dengan beberapa aturan penerusan, di bagian Purpose, pilih Shared.
8. Klik Pesan untuk menyelesaikan proses.

gcloud

1. Menggunakan gcloud CLI, jalankan perintah gcloud compute addresses create:

   gcloud compute addresses create l7-ilb-ip-address \
       --region=us-west1 \
       --subnet=backend-subnet
   

   Jika Anda ingin menggunakan alamat IP yang sama dengan beberapa aturan penerusan, tentukan --purpose=SHARED_LOADBALANCER_VIP.

2. Gunakan perintah gcloud compute addresses describe untuk melihat alamat IP yang dialokasikan:

   gcloud compute addresses describe l7-ilb-ip-address \
       --region=us-west1
   

Konsol

1. Membuat template instance. Di konsol Trusted Cloud , buka halaman Instance templates.

   Buka halaman Template instance

   1. Klik Create instance template.
   2. Untuk Name, masukkan l7-ilb-backend-template.
   3. Pastikan Boot disk disetel ke image Debian, seperti Debian GNU/Linux 12 (bookworm). Petunjuk ini menggunakan perintah yang hanya tersedia di Debian, seperti apt-get.
   4. Klik Advanced options.
   5. Klik Networking, lalu konfigurasi kolom berikut:
      1. Untuk Tag jaringan, masukkan allow-ssh dan load-balanced-backend.
      2. Untuk Network interfaces, pilih opsi berikut:
         • Jaringan: lb-network
         • Subnet: backend-subnet

   6. Klik Management. Masukkan skrip berikut ke dalam kolom Skrip startup.

      #! /bin/bash
      apt-get update
      apt-get install apache2 -y
      a2ensite default-ssl
      a2enmod ssl
      vm_hostname="$(curl -H "Metadata-Flavor:Google" \
      http://metadata.google.internal/computeMetadata/v1/instance/name)"
      echo "Page served from: $vm_hostname" | \
      tee /var/www/html/index.html
      systemctl restart apache2
      

   7. Klik Buat.

2. Membuat grup instance terkelola. Di konsol Trusted Cloud , buka halaman Instance groups.

   Buka Instance groups

   1. Klik Create instance group.
   2. Pilih New managed instance group (stateless). Untuk mengetahui informasi selengkapnya, lihat MIG stateless atau stateful.
   3. Untuk Name, masukkan l7-ilb-backend-example.
   4. Untuk Location, pilih Single zone.
   5. Untuk Region, pilih us-west1.
   6. Untuk Zone, pilih us-west1-a.
   7. Untuk Instance template, pilih l7-ilb-backend-template.

   8. Tentukan jumlah instance yang ingin Anda buat dalam grup.

      Untuk contoh ini, tentukan opsi berikut di bagian Penskalaan otomatis:

      • Untuk Autoscaling mode, pilih Off:do not autoscale.
      • Untuk Maximum number of instances, masukkan 2.

      Secara opsional, di bagian Autoscaling pada UI, Anda dapat mengonfigurasi grup instance untuk menambahkan atau menghapus instance secara otomatisberdasarkan penggunaan CPU instance.

   9. Klik Buat.

gcloud

Petunjuk gcloud dalam panduan ini mengasumsikan bahwa Anda menggunakan Cloud Shell atau lingkungan lain dengan bash yang terinstal.

1. Buat template instance VM dengan server HTTP menggunakan perintah gcloud compute instance-templates create.

   gcloud compute instance-templates create l7-ilb-backend-template \
   --region=us-west1 \
   --network=lb-network \
   --subnet=backend-subnet \
   --tags=allow-ssh,load-balanced-backend \
   --image-family=debian-12 \
   --image-project=debian-cloud \
   --metadata=startup-script='#! /bin/bash
     apt-get update
     apt-get install apache2 -y
     a2ensite default-ssl
     a2enmod ssl
     vm_hostname="$(curl -H "Metadata-Flavor:Google" \
     http://metadata.google.internal/computeMetadata/v1/instance/name)"
     echo "Page served from: $vm_hostname" | \
     tee /var/www/html/index.html
     systemctl restart apache2'
   

2. Buat grup instance terkelola di zona dengan perintah gcloud compute instance-groups managed create.

   gcloud compute instance-groups managed create l7-ilb-backend-example \
       --zone=us-west1-a \
       --size=2 \
       --template=l7-ilb-backend-template
   

API

Buat template instance dengan metode instanceTemplates.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/global/instanceTemplates
{
  "name":"l7-ilb-backend-template",
  "properties":{
     "machineType":"e2-standard-2",
     "tags":{
       "items":[
         "allow-ssh",
         "load-balanced-backend"
       ]
     },
     "metadata":{
        "kind":"compute#metadata",
        "items":[
          {
            "key":"startup-script",
            "value":"#! /bin/bash\napt-get update\napt-get install
            apache2 -y\na2ensite default-ssl\na2enmod ssl\n
            vm_hostname=\"$(curl -H \"Metadata-Flavor:Google\"
            \\\nhttp://metadata.google.internal/computeMetadata/v1/instance/name)\"\n
            echo \"Page served from: $vm_hostname\" | \\\ntee
            /var/www/html/index.html\nsystemctl restart apache2"
          }
        ]
     },
     "networkInterfaces":[
       {
         "network":"projects/PROJECT_ID/global/networks/lb-network",
         "subnetwork":"regions/us-west1/subnetworks/backend-subnet",
         "accessConfigs":[
           {
             "type":"ONE_TO_ONE_NAT"
           }
         ]
       }
     ],
     "disks":[
       {
         "index":0,
         "boot":true,
         "initializeParams":{
           "sourceImage":"projects/debian-cloud/global/images/family/debian-12"
         },
         "autoDelete":true
       }
     ]
  }
}

Buat grup instance terkelola di setiap zona dengan metode instanceGroupManagers.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/zones/{zone}/instanceGroupManagers
{
  "name": "l7-ilb-backend-example",
  "zone": "projects/PROJECT_ID/zones/us-west1-a",
  "instanceTemplate": "projects/PROJECT_ID/global/instanceTemplates/l7-ilb-backend-template",
  "baseInstanceName": "l7-ilb-backend-example",
  "targetSize": 2
}

Konsol

Pilih jenis load balancer

1. Di konsol Trusted Cloud , buka halaman Load balancing.

   Buka Load balancing

2. Klik Create load balancer.
3. Untuk Type of load balancer, pilih Application Load Balancer (HTTP/HTTPS), lalu klik Next.
4. Untuk Public facing or internal, pilih Internal, lalu klik Next.
5. Untuk Cross-region or single region deployment, pilih Best for regional workloads, lalu klik Next.
6. Klik Configure.

Konfigurasi dasar

1. Untuk Name load balancer, masukkan l7-ilb-map.
2. Untuk Region, pilih us-west1.
3. Untuk Network, pilih lb-network.

Mereservasi subnet khusus proxy

Mereservasi subnet khusus proxy:

1. Klik Reserve a Subnet.
2. Untuk Name, masukkan proxy-only-subnet.
3. Untuk Rentang alamat IP, masukkan 10.129.0.0/23.
4. Klik Tambahkan.

Mengonfigurasi layanan backend

1. Klik Backend configuration.
2. Dari menu Create or select backend services, pilih Create a backend service.
3. Tetapkan nama layanan backend ke l7-ilb-backend-service.
4. Tetapkan Backend type ke Instance group.
5. Di bagian New backend:
   1. Setel Instance group ke l7-ilb-backend-example.
   2. Setel Transfer nomor ke 80.
   3. Tetapkan Balancing mode ke Utilization.
   4. Klik Selesai.
6. Dari daftar Health check, klik Create a health check dengan parameter berikut:
   1. Nama: l7-ilb-basic-check
   2. Protokol: HTTP
   3. Port: 80
   4. Klik Simpan.
7. Klik Buat.

Mengonfigurasi peta URL

1. Klik Host and path rules.

2. Untuk Mode, pilih Simple host and path rule.

3. Pastikan l7-ilb-backend-service adalah satu-satunya layanan backend untuk semua host dan jalur yang tidak cocok.

Untuk informasi tentang pengelolaan traffic, lihat Menyiapkan pengelolaan traffic.

Mengonfigurasi frontend

Untuk HTTP:

1. Klik Frontend configuration.
2. Tetapkan nama aturan penerusan ke l7-ilb-forwarding-rule.
3. Tetapkan Protocol ke HTTP.
4. Tetapkan Subnetwork ke backend-subnet.
5. Tetapkan Port ke 80.
6. Dari daftar IP address, pilih l7-ilb-ip-address.
7. Klik Selesai.

Untuk HTTPS:

1. Klik Frontend configuration.
2. Tetapkan nama aturan penerusan ke l7-ilb-forwarding-rule.
3. Tetapkan Protocol ke HTTPS (includes HTTP/2).
4. Tetapkan Subnetwork ke backend-subnet.
5. Pastikan Port ditetapkan ke 443 untuk mengizinkan traffic HTTPS.
6. Dari daftar IP address, pilih l7-ilb-ip-address.
7. Klik menu drop-down Certificate.
   1. Jika Anda sudah memiliki resource sertifikat SSL yang dikelola sendiri yang ingin digunakan sebagai sertifikat SSL utama, pilih sertifikat tersebut dari daftar.
   2. Jika tidak, pilih Create a new certificate.
      1. Tetapkan nama sertifikat ke l7-ilb-cert.
      2. Di kolom yang sesuai, upload file berformat PEM:
         • Sertifikat kunci publik
         • Rantai sertifikat
         • Kunci pribadi
      3. Klik Create.
8. Untuk menambahkan resource sertifikat selain resource sertifikat SSL utama:
   1. Klik Add certificate.
   2. Pilih sertifikat dari daftar Certificates, atau klik Create a new certificate, lalu ikuti petunjuknya.

9. Pilih kebijakan SSL dari daftar Kebijakan SSL. Sebagai opsi, untuk membuat kebijakan SSL, lakukan hal berikut:

   1. Di daftar SSL policy, pilih Create a policy.
   2. Masukkan nama untuk kebijakan SSL.
   3. Pilih versi TLS minimum. Nilai defaultnya adalah TLS 1.0.
   4. Pilih salah satu profil yang dikelola Google yang telah dikonfigurasi sebelumnya atau pilih profil Kustom yang memungkinkan Anda memilih fitur SSL satu per satu. Fitur yang diaktifkan dan Fitur yang dinonaktifkan akan ditampilkan.
   5. Klik Simpan.

   Jika Anda belum membuat kebijakan SSL, kebijakan SSL Trusted Cloud default akan diterapkan.

10. Klik Selesai.

Meninjau konfigurasi

1. Klik Review and finalize.
2. Tinjau setelan konfigurasi load balancer Anda.
3. Opsional: Klik Equivalent code untuk melihat permintaan REST API yang akan digunakan untuk membuat load balancer.
4. Klik Buat.

gcloud

1. Tentukan health check HTTP dengan perintah gcloud compute health-checks create http.

   gcloud compute health-checks create http l7-ilb-basic-check \
      --region=us-west1 \
      --use-serving-port
   

2. Tentukan layanan backend dengan perintah gcloud compute backend-services create.

   gcloud compute backend-services create l7-ilb-backend-service \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --protocol=HTTP \
     --health-checks=l7-ilb-basic-check \
     --health-checks-region=us-west1 \
     --region=us-west1
   

3. Tambahkan backend ke layanan backend dengan perintah gcloud compute backend-services add-backend.

   gcloud compute backend-services add-backend l7-ilb-backend-service \
     --balancing-mode=UTILIZATION \
     --instance-group=l7-ilb-backend-example \
     --instance-group-zone=us-west1-a \
     --region=us-west1
   

4. Buat peta URL dengan perintah gcloud compute url-maps create.

   gcloud compute url-maps create l7-ilb-map \
     --default-service=l7-ilb-backend-service \
     --region=us-west1
   

5. Buat proxy target.

   Untuk HTTP:

   Untuk load balancer HTTP internal, buat proxy target dengan perintah gcloud compute target-http-proxies create.

   gcloud compute target-http-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --url-map-region=us-west1 \
     --region=us-west1
   

   Untuk HTTPS:

   Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:

   • Sertifikat yang dikelola sendiri secara regional. Untuk mengetahui informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat Men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.

   • Sertifikat yang dikelola Google regional. Peta sertifikat tidak didukung.

     Jenis sertifikat regional yang dikelola Google berikut didukung oleh Certificate Manager:

     • Sertifikat yang dikelola Google regional dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan otorisasi DNS.
     • Sertifikat regional yang dikelola Google (pribadi) dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Certificate Authority Service.

   Setelah membuat sertifikat, lampirkan sertifikat langsung ke proxy target.

   Menetapkan jalur file ke nama variabel.

   export LB_CERT=path to PEM-formatted file
   

   export LB_PRIVATE_KEY=path to PEM-formatted file
   

   Buat sertifikat SSL regional menggunakan perintah gcloud compute ssl-certificates create.

   gcloud compute ssl-certificates create l7-ilb-cert \
     --certificate=$LB_CERT \
     --private-key=$LB_PRIVATE_KEY \
     --region=us-west1
   

   Gunakan sertifikat SSL regional untuk membuat proxy target dengan perintah gcloud compute target-https-proxies create.

   gcloud compute target-https-proxies create l7-ilb-proxy \
     --url-map=l7-ilb-map \
     --region=us-west1 \
     --ssl-certificates=l7-ilb-cert
   

6. Membuat aturan penerusan.

   Untuk jaringan kustom, Anda harus mereferensikan subnet dalam aturan penerusan. Perhatikan bahwa ini adalah subnet VM, bukan subnet proxy.

   Untuk HTTP:

   Gunakan perintah gcloud compute forwarding-rules create dengan flag yang benar.

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=backend-subnet \
     --address=l7-ilb-ip-address \
     --ports=80 \
     --region=us-west1 \
     --target-http-proxy=l7-ilb-proxy \
     --target-http-proxy-region=us-west1
   

   Untuk HTTPS:

   Buat aturan penerusan dengan perintah gcloud compute forwarding-rules create dengan flag yang benar.

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule \
     --load-balancing-scheme=INTERNAL_MANAGED \
     --network=lb-network \
     --subnet=backend-subnet \
     --address=l7-ilb-ip-address \
     --ports=443 \
     --region=us-west1 \
     --target-https-proxy=l7-ilb-proxy \
     --target-https-proxy-region=us-west1
   

API

Buat health check dengan membuat permintaan POST ke metode regionHealthChecks.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/{region}/healthChecks

{
"name": "l7-ilb-basic-check",
"type": "HTTP",
"httpHealthCheck": {
  "portSpecification": "USE_SERVING_PORT"
}
}

Buat layanan backend regional dengan membuat permintaan POST ke metode regionBackendServices.insert, ganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/backendServices

{
"name": "l7-ilb-backend-service",
"backends": [
  {
    "group": "projects/PROJECT_ID/zones/us-west1-a/instanceGroups/l7-ilb-backend-example",
    "balancingMode": "UTILIZATION"
  }
],
"healthChecks": [
  "projects/PROJECT_ID/regions/us-west1/healthChecks/l7-ilb-basic-check"
],
"loadBalancingScheme": "INTERNAL_MANAGED"
}

Buat peta URL dengan membuat permintaan POST ke metode regionUrlMaps.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/urlMaps

{
"name": "l7-ilb-map",
"defaultService": "projects/PROJECT_ID/regions/us-west1/backendServices/l7-ilb-backend-service"
}

Untuk HTTP:

Buat proxy HTTP target dengan membuat permintaan POST ke metode regionTargetHttpProxies.insert, dengan mengganti PROJECT_ID dengan ID project Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/targetHttpProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/global/urlMaps/l7-ilb-map",
"region": "us-west1"
}

Buat aturan penerusan dengan membuat permintaan POST ke metode forwardingRules.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules

{
"name": "l7-ilb-forwarding-rule",
"IPAddress": "IP_ADDRESS",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/regions/us-west1/targetHttpProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/us-west1/subnetworks/backend-subnet",
"network": "projects/PROJECT_ID/global/networks/lb-network",
"networkTier": "PREMIUM"
}

Untuk HTTPS:

Anda dapat membuat sertifikat Compute Engine atau Certificate Manager. Gunakan salah satu metode berikut untuk membuat sertifikat menggunakan Pengelola Sertifikat:

• Sertifikat yang dikelola sendiri secara regional. Untuk mengetahui informasi tentang cara membuat dan menggunakan sertifikat yang dikelola sendiri secara regional, lihat Men-deploy sertifikat yang dikelola sendiri secara regional. Peta sertifikat tidak didukung.

• Sertifikat yang dikelola Google regional. Peta sertifikat tidak didukung.

  Jenis sertifikat regional yang dikelola Google berikut didukung oleh Certificate Manager:

  • Sertifikat yang dikelola Google regional dengan otorisasi DNS per project. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan otorisasi DNS.
  • Sertifikat regional yang dikelola Google (pribadi) dengan Certificate Authority Service. Untuk mengetahui informasi selengkapnya, lihat Men-deploy sertifikat yang dikelola Google regional dengan Certificate Authority Service.

Setelah membuat sertifikat, lampirkan sertifikat langsung ke proxy target.

Baca file sertifikat dan kunci pribadi, lalu buat sertifikat SSL. Contoh berikut menunjukkan cara melakukannya dengan Python.

from pathlib import Path
from pprint import pprint
from typing import Union

from googleapiclient import discovery


def create_regional_certificate(
    project_id: str,
    region: str,
    certificate_file: Union[str, Path],
    private_key_file: Union[str, Path],
    certificate_name: str,
    description: str = "Certificate created from a code sample.",
) -> dict:
    """
    Create a regional SSL self-signed certificate within your Google Cloud project.

    Args:
        project_id: project ID or project number of the Cloud project you want to use.
        region: name of the region you want to use.
        certificate_file: path to the file with the certificate you want to create in your project.
        private_key_file: path to the private key you used to sign the certificate with.
        certificate_name: name for the certificate once it's created in your project.
        description: description of the certificate.

        Returns:
        Dictionary with information about the new regional SSL self-signed certificate.
    """
    service = discovery.build("compute", "v1")

    # Read the cert into memory
    with open(certificate_file) as f:
        _temp_cert = f.read()

    # Read the private_key into memory
    with open(private_key_file) as f:
        _temp_key = f.read()

    # Now that the certificate and private key are in memory, you can create the
    # certificate resource
    ssl_certificate_body = {
        "name": certificate_name,
        "description": description,
        "certificate": _temp_cert,
        "privateKey": _temp_key,
    }
    request = service.regionSslCertificates().insert(
        project=project_id, region=region, body=ssl_certificate_body
    )
    response = request.execute()
    pprint(response)

    return response

Buat proxy HTTPS target dengan membuat permintaan POST ke metode regionTargetHttpsProxies.insert, mengganti PROJECT_ID dengan ID project Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/regionTargetHttpsProxy

{
"name": "l7-ilb-proxy",
"urlMap": "projects/PROJECT_ID/regions/us-west1/urlMaps/l7-ilb-map",
"sslCertificates": /projects/PROJECT_ID/regions/us-west1/sslCertificates/SSL_CERT_NAME
}

Buat aturan penerusan dengan membuat permintaan POST ke metode forwardingRules.insert, dengan mengganti PROJECT_ID dengan project ID Anda.

POST https://compute.s3nsapis.fr/compute/v1/projects/PROJECT_ID/regions/us-west1/forwardingRules

{
"name": "l7-ilb-forwarding-rule",
"IPAddress": "IP_ADDRESS",
"IPProtocol": "TCP",
"portRange": "80-80",
"target": "projects/PROJECT_ID/regions/us-west1/targetHttpsProxies/l7-ilb-proxy",
"loadBalancingScheme": "INTERNAL_MANAGED",
"subnetwork": "projects/PROJECT_ID/regions/us-west1/subnetworks/backend-subnet",
"network": "projects/PROJECT_ID/global/networks/lb-network",
"networkTier": "PREMIUM",
}

Konsol

1. Di konsol Trusted Cloud , buka halaman VM instances.

   Buka instance VM

2. Klik Create instance.

3. Setel Nama ke l7-ilb-client-us-west1-a.

4. Setel Zona ke us-west1-a.

5. Klik Advanced options.

6. Klik Networking dan konfigurasi kolom berikut:

   1. Untuk Network tags, masukkan allow-ssh.
   2. Untuk Network interfaces, pilih opsi berikut:
      1. Jaringan: lb-network
      2. Subnet: backend-subnet

7. Klik Buat.

gcloud

gcloud compute instances create l7-ilb-client-us-west1-a \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --network=lb-network \
    --subnet=backend-subnet \
    --zone=us-west1-a \
    --tags=allow-ssh

Konsol

Buat aturan penerusan baru untuk load balancer:

1. Di konsol Trusted Cloud , buka halaman Load balancing.

   Buka Load balancing

2. Di kolom Name, klik load balancer Anda.

3. Klik Frontend configuration.

4. Klik Add frontend IP and port.

5. Masukkan nama dan detail subnet untuk aturan penerusan baru.

6. Untuk Subnetwork, pilih backend-subnet.

7. Untuk Alamat IP, Anda dapat memilih alamat IP yang sama dengan aturan penerusan yang ada, mencadangkan alamat IP baru, atau menggunakan alamat IP sementara. Berbagi alamat IP yang sama di beberapa aturan penerusan hanya dapat dilakukan jika Anda menetapkan tanda --purpose alamat IP ke SHARED_LOADBALANCER_VIP saat membuat alamat IP.

8. Untuk Port number, masukkan 110.

9. Untuk Global access, pilih Enable.

10. Klik Selesai.

11. Klik Perbarui.

gcloud

1. Buat aturan penerusan baru untuk load balancer dengan flag --allow-global-access.

   Untuk HTTP:

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-global-access \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=lb-network \
       --subnet=backend-subnet \
       --address=10.1.2.99 \
       --ports=80 \
       --region=us-west1 \
       --target-http-proxy=l7-ilb-proxy \
       --target-http-proxy-region=us-west1 \
       --allow-global-access
   

   Untuk HTTPS:

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-global-access \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=lb-network \
       --subnet=backend-subnet \
       --address=10.1.2.99 \
       --ports=443 \
       --region=us-west1 \
       --target-https-proxy=l7-ilb-proxy \
       --target-https-proxy-region=us-west1 \
       --allow-global-access
   

2. Anda dapat menggunakan perintah gcloud compute forwarding-rules describe untuk menentukan apakah aturan penerusan mengaktifkan akses global. Misalnya:

    gcloud compute forwarding-rules describe l7-ilb-forwarding-rule-global-access \
        --region=us-west1 \
        --format="get(name,region,allowGlobalAccess)"
   

   Jika akses global diaktifkan, kata True akan muncul di output setelah nama dan wilayah aturan penerusan.

Konsol

1. Di konsol Trusted Cloud , buka halaman VM instances.

   Buka instance VM

2. Klik Create instance.

3. Setel Nama ke europe-client-vm.

4. Setel Zona ke europe-west1-b.

5. Klik Advanced options.

6. Klik Networking dan konfigurasi kolom berikut:

   1. Untuk Network tags, masukkan allow-ssh.
   2. Untuk Network interfaces, pilih opsi berikut:
      • Jaringan: lb-network
      • Subnet: europe-subnet

7. Klik Buat.

gcloud

Buat VM klien di zona europe-west1-b.

gcloud compute instances create europe-client-vm \
    --zone=europe-west1-b \
    --image-family=debian-12 \
    --image-project=debian-cloud \
    --tags=allow-ssh \
    --subnet=europe-subnet

Konsol

Untuk mengidentifikasi VM klien, beri tag pada VM tertentu yang ingin Anda batasi. Tag ini digunakan untuk mengaitkan aturan firewall dengan VM klien yang diberi tag. Kemudian, tambahkan tag ke kolom TARGET_TAG pada langkah-langkah berikut.

Gunakan satu aturan firewall atau beberapa aturan untuk menyiapkannya.

Aturan firewall keluar tunggal

Anda dapat mengonfigurasi satu aturan keluar firewall untuk menolak semua traffic keluar yang berasal dari VM klien yang diberi tag ke VIP load balancer.

1. Di konsol Trusted Cloud , buka halaman Firewall rules.

   Buka Aturan firewall

2. Klik Create firewall rule untuk membuat aturan yang menolak traffic keluar dari VM klien yang diberi tag ke VIP load balancer.

   • Nama: fr-deny-access
   • Jaringan: lb-network
   • Prioritas: 100
   • Direction of traffic: Egress
   • Tindakan terhadap kecocokan: Tolak
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Pilih kotak centang tcp, lalu masukkan 80 untuk nomor port.

3. Klik Buat.

Beberapa aturan firewall keluar

Pendekatan yang lebih skalabel melibatkan penetapan dua aturan. Aturan default berprioritas rendah yang membatasi semua klien mengakses VIP load balancer. Aturan kedua dengan prioritas lebih tinggi yang mengizinkan subset klien yang diberi tag untuk mengakses VIP load balancer. Hanya VM yang diberi tag yang dapat mengakses VIP.

1. Di konsol Trusted Cloud , buka halaman Firewall rules.

   Buka Aturan firewall

2. Klik Create firewall rule untuk membuat aturan prioritas yang lebih rendah guna menolak akses secara default:

   • Nama: fr-deny-all-access-low-priority
   • Jaringan: lb-network
   • Prioritas: 200
   • Direction of traffic: Egress
   • Tindakan terhadap kecocokan: Tolak
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

3. Klik Buat.

4. Klik Create firewall rule untuk membuat aturan prioritas yang lebih tinggi guna mengizinkan traffic dari instance tertentu yang diberi tag.

   • Nama: fr-allow-some-access-high-priority
   • Jaringan: lb-network
   • Prioritas: 100
   • Direction of traffic: Egress
   • Tindakan terhadap kecocokan: Izinkan
   • Targets: Tag target yang ditentukan
   • Tag target: TARGET_TAG
   • Filter tujuan: Rentang IP
   • Rentang IP tujuan: 10.1.2.99
   • Protokol dan port:
     • Pilih Specified protocols and ports.
     • Pilih kotak centang TCP, lalu masukkan 80 untuk nomor port.

5. Klik Buat.

gcloud

Untuk mengidentifikasi VM klien, beri tag pada VM tertentu yang ingin Anda batasi. Kemudian, tambahkan tag ke kolom TARGET_TAG dalam langkah-langkah ini.

Gunakan satu aturan firewall atau beberapa aturan untuk menyiapkannya.

Aturan firewall keluar tunggal

Anda dapat mengonfigurasi satu aturan keluar firewall untuk menolak semua traffic keluar yang berasal dari VM klien yang diberi tag ke VIP load balancer.

gcloud compute firewall-rules create fr-deny-access \
    --network=lb-network \
    --action=deny \
    --direction=egress \
    --rules=tcp \
    --priority=100 \
    --destination-ranges=10.1.2.99 \
    --target-tags=TARGET_TAG

Beberapa aturan firewall keluar

Pendekatan yang lebih skalabel melibatkan penetapan dua aturan: aturan default berprioritas rendah yang membatasi semua klien agar tidak mengakses VIP load balancer, dan aturan kedua berprioritas lebih tinggi yang mengizinkan subset klien yang diberi tag untuk mengakses VIP load balancer. Hanya VM yang diberi tag yang dapat mengakses VIP.

1. Buat aturan berprioritas lebih rendah:

   gcloud compute firewall-rules create fr-deny-all-access-low-priority \
       --network=lb-network \
       --action=deny \
       --direction=egress \
       --rules=tcp \
       --priority=200 \
       --destination-ranges=10.1.2.99
   

2. Buat aturan prioritas yang lebih tinggi:

   gcloud compute firewall-rules create fr-allow-some-access-high-priority \
       --network=lb-network \
       --action=allow \
       --direction=egress \
       --rules=tcp \
       --priority=100 \
       --destination-ranges=10.1.2.99 \
       --target-tags=TARGET_TAG
   

Untuk menggunakan akun layanan, bukan tag, guna mengontrol akses, gunakan opsi --target-service-accounts, bukan flag --target-tags saat membuat aturan firewall.

gcloud

1. Buat subnet regional yang akan digunakan untuk mengalokasikan alamat IP yang di-load balance untuk aturan penerusan:

   gcloud compute networks subnets create l7-ilb-restricted-subnet \
       --network=lb-network \
       --region=us-west1 \
       --range=10.127.0.0/24
   

2. Buat aturan penerusan yang mengambil alamat dari subnet. Contoh berikut menggunakan alamat 10.127.0.1 dari subnet yang dibuat pada langkah sebelumnya.

   gcloud compute forwarding-rules create l7-ilb-forwarding-rule-restricted \
       --load-balancing-scheme=INTERNAL_MANAGED \
       --network=lb-network \
       --subnet=l7-ilb-restricted-subnet \
       --address=10.127.0.1 \
       --ports=80 \
       --region=us-west1 \
       --target-http-proxy=l7-ilb-proxy \
       --target-http-proxy-region=us-west1
   

3. Buat aturan firewall untuk membatasi traffic yang ditujukan ke rentang alamat IP di subnet aturan penerusan (l7-ilb-restricted-subnet):

   gcloud compute firewall-rules create restrict-traffic-to-subnet \
       --network=lb-network \
       --action=deny \
       --direction=egress \
       --rules=tcp:80 \
       --priority=100 \
       --destination-ranges=10.127.0.0/24 \
       --target-tags=TARGET_TAG
   

gcloud

gcloud compute addresses create SHARED_IP_ADDRESS_NAME \
    --region=REGION \
    --subnet=SUBNET_NAME \
    --purpose=SHARED_LOADBALANCER_VIP